Tenable entdeckt schwerwiegende Zero Day Schwachstelle in Videoüberwachungs Software

Mit der „Peekaboo” getauften Schwachstelle können Cyberkriminelle die Aufnahmen hunderttausender Überwachungskameras möglicherweise sehen und manipulieren

Tenable hat eine Zero Day Schwachstelle entdeckt, mit der Cyberkriminelle Videoüberwachungsaufnahmen sehen und manipulieren könnten. Die Schwachstelle beruht auf Remote Code Ausführung in NUUO Software – NUUO ist einer der weltweit führenden Anbieter von Lösungen für die Videoüberwachung. Die Schwachstelle, vom Tenable Research Team entdeckt und „Peekaboo“ getauft, würde es Kriminellen erlauben, Videoaufzeichnungen per Remote Zugang einzusehen und über Administratorenrechte diese Aufzeichnungen zu manipulieren. Denkbar ist etwa eine Liveübertragung durch ein statisches Bild zu ersetzen und sich so unentdeckt Zutritt zu verschaffen. 

Die Peekaboo Schwachstelle ist deshalb so gravierend, weil NUUO in die Lösungen hunderter führender Anbieter integriert ist: Zu den unterstützten Geräten zählen über 100 Marken und 2.500 verschiedene Kameras, die über Zugriff auf Nutzernamen und Passwörter gefährdet sein könnten. Vorläufigen Schätzungen zufolge, könnten hunderttausende Kameras weltweit manipuliert oder ausgeschaltet werden. 

NUUO Software und  Geräte werden häufig für webbasiertes Video Monitoring und Überwachung eingesetzt. Besonders in Branchen wie Einzelhandel, Logistik und Bildung sowie bei Behörden und Banken sind sie häufig zu finden. Das betroffene Gerät, NVRMini2, ist ein Network Attached Speicher Device und Netzwerk Videorecorder. Peekaboo könnte Cyberkriminellen Zugriff auf das Control Management System (CMS) verschaffen und die Zugangsdaten zu allen angeschlossenen Kameras liefern. Ein Root Zugriff auf das NVRMini2 Gerät würde es ermöglichen, Live Feeds zu unterbrechen und Aufzeichnungen zu bearbeiten. Erst im vergangenen Jahr wurde speziell NUUO NVR Geräte vom Reaper IoT Botnet angegriffen.

„Unsere Art zu leben beruht auf Technologie. Mit ihr können wir mit unserer Umgebung interagieren, sie kontrollieren und überwachen. Das ist einer der vielen Gründe, warum immer mehr vernetzte Geräte genutzt werden“, sagt Renaud Deraison, Co Founder und Chief Technology Officer, Tenable. „Die Peekaboo Schwachstelle ist so besorgniserregend, weil sie Technologie betrifft, die uns schützt. Je mehr IoT Geräte online gehen, desto größer ist die Angriffsfläche und desto mehr Risiken für Konsumenten und Unternehmen gibt es. Tenable Research versucht die Cyber Exposure Lücke zu verkleinern, indem es neue, potenzielle Angriffsvektoren entdeckt. Zugleich brauchen die Kunden die nötigen Einblicke, um ihre Exposure zu verringern.“

Tenable Research legte die Schwachstelle, die Firmware Versionen vor 3.9.0 betrifft, gegenüber NUUO gemäß den Standardverfahren der Tenable Vulnerability Disclosure Policy offen. Am 17. September 2018 stand noch kein Patch bereit. NUUO hat Tenable jedoch informiert, dass ein Patch entwickelt wird und das betroffene Anwender NUUO für weitere Informationen kontaktieren sollen. Bis ein Patch verfügbar ist, wird Anwendern empfohlen, den Zugriff auf ihre NUUO NVRMini2 Anwendungen zu kontrollieren und zu limitieren. Mit dem Internet verbundene Geräte sind besonders gefährdet, weil potenzielle Angreifer sie direkt attackieren können. Betroffene Anwender sollten diese Geräte vom Internet trennen, bis ein Patch verfügbar ist. Viele Anwender werden sich zudem der Schwachstelle nicht bewusst sein, weil die NUUO Software in die Produkte anderer Anbieter integriert ist. Wenn Nutzer sich nicht sicher sind, sollten sie ihre Videoüberwachungs Anbieter kontaktieren und klären, ob sie betroffen sind und ob ein Patch bereitgestellt wird. 

Tenable selbst hat ein Plugin veröffentlicht, mit dem Unternehmen herausfinden können, ob sie verwundbar sind. Mehr Informationen hier. 

Mehr Informationen über Peekaboo liefert der Blogpost von Tenable Research.